十分性認定とは

十分性認定は、EUのGDPRにもとづく仕組みです。GDPRは、EU域外への個人データの移転に条件を課しています。欧州委員会が、ある国や地域について十分なデータ保護の水準を確保していると決定すると、そこへの移転は個別の許可なしに行えます（第45条）。認定がない国へ移す場合は、原則として、標準データ保護条項（いわゆる標準契約条項）などの適切な保護措置が必要です（第46条）。

日本とEUの相互の枠組み

欧州委員会は2019年1月23日、日本への十分性認定を採択しました。対象は、EUから日本の民間の事業者への移転です。同じ日に日本の個人情報保護委員会も、個人情報保護法の現在の第28条（当時は第24条）にもとづき、EUを日本と同等の水準の制度をもつ外国に指定し、互いの制度を同等と認め合う枠組みが発効しました。英国のEU離脱後も、英国との間で同様の枠組みが続いています。

補完的ルール

両者の制度には細かな違いがあるため、個人情報保護委員会は、EUと英国から十分性認定にもとづき移転を受けた個人データだけに適用する「補完的ルール」を定めました。法的拘束力があり、主に次の内容を含みます。

• 性生活、性的指向、労働組合に関する情報を、要配慮個人情報と同様に扱う。
• 移転を受けた際に特定された利用目的を確認・記録し、その範囲内で利用する。
• 外国の第三者へさらに提供する場合は、同等の水準の国にある場合や、契約などで同等の保護措置を講じている場合などを除き、本人の同意を得る。
• 加工方法等情報を削除し、誰にとっても再識別できなくした場合に限り、匿名加工情報とみなす。

見直しと今後

GDPRでは、十分性認定を少なくとも4年ごとに見直します。日EUは2023年に最初の見直しを終え、双方が枠組みを継続しました。2025年9月の共同プレス声明は、学術研究の分野への拡大に関する協議の妥結を歓迎し、公的部門への拡大についても協議を強めるとしました。